Sicurezza della Catena di Fornitura Software

Una serie completa di tre libri sulla sicurezza della catena di fornitura software, che copre minacce, difese e governance. Questo manoscritto open-source fornisce a professionisti della sicurezza, sviluppatori e leader organizzativi una guida pratica per proteggere le moderne pratiche di sviluppo software.

La Serie di Libri

Libro 1: Comprendere la Catena di Fornitura Software

Fornisce le basi per comprendere la sicurezza della catena di fornitura: come viene costruito il software moderno, il panorama delle minacce, gli attacchi storici e i modelli di attacco dettagliati.

• Parte I - Fondamenti (Capitoli 1-4): Come viene costruito il software oggi, panoramica delle minacce alla catena di fornitura, attacchi storici e rischi specifici dell'ecosistema
• Parte II - Modelli di Attacco (Capitoli 5-10): Pacchetti malevoli, dependency confusion, typosquatting, attacchi ai sistemi di build, minacce interne e ingegneria sociale

Libro 2: Proteggere la Catena di Fornitura Software

Traduce la conoscenza delle minacce in difese pratiche lungo l'intero ciclo di vita dello sviluppo, dalla selezione delle dipendenze fino al deployment in produzione.

• Parte III - Valutazione del Rischio e Test (Capitoli 11-15): Misurazione del rischio, SBOM, gestione delle dipendenze, test di sicurezza e red teaming
• Parte IV - Difesa e Risposta (Capitoli 16-20): Protezione degli ambienti di sviluppo, pipeline CI/CD, canali di distribuzione, risposta agli incidenti e comunicazione di crisi
• Parte V - Operazionalizzare la Difesa (Capitoli 21-22): Costruire programmi di sicurezza e approcci di platform engineering

Libro 3: Governare la Catena di Fornitura Software

Affronta le dimensioni umane, politiche e strategiche della sicurezza della catena di fornitura: impegno organizzativo, conformità normativa, incentivi economici e collaborazione di settore.

• Parte V - Persone e Organizzazioni (Capitoli 23-25): Formazione e cultura della sicurezza, prospettive dei maintainer open source e gestione del rischio fornitore
• Parte VI - Normativo e Legale (Capitoli 26-29): Panorama normativo (EO 14028, EU CRA), framework di conformità, considerazioni legali e iniziative di settore
• Parte VII - Contesto e Futuro (Capitoli 30-33): Economia della sicurezza della catena di fornitura, considerazioni geopolitiche, lezioni da altri settori e direzioni future

Struttura del Repository

contents/
├── book1/                 # Chapters 1-10
│   └── chapter-XX/        # Each chapter directory contains:
│       ├── README.md      #   Chapter overview
│       ├── ch-X.Y.md      #   Section files
│       └── img/           #   Chapter images
├── book2/                 # Chapters 11-22
├── book3/                 # Chapters 23-33
├── appendices/            # Appendices A-H
└── frontmatter/           # Author info, legal notices, templates

scripts/
├── build-all.sh           # Build all three books
├── cover-generator.py     # Generate book covers
├── custom_template.latex  # Template for building PDF
└── verify_urls.py         # URL verification utility

Creazione dei PDF

Prerequisiti

• Pandoc (convertitore di documenti)
• XeLaTeX (generazione PDF)
• ImageMagick (conversione immagini)
• Python 3.x (per la generazione delle copertine)

Comandi di Build

Costruisci tutti e tre i libri:

./scripts/build-all.sh

Costruisci libri individuali:

./contents/book1/build-pdf.sh
./contents/book2/build-pdf.sh
./contents/book3/build-pdf.sh

I PDF generati vengono creati nella directory scripts/.

Appendici

Contribuire

I contributi sono benvenuti. Quando contribuisci:

• Mantenere l'accuratezza tecnica sugli argomenti di sicurezza
• Citare le fonti per affermazioni fattuali e statistiche
• Sentiti libero di utilizzare l'IA per generare contenuti, ma leggili e comprendili prima di inviare una pull request.
• Usa una terminologia coerente (fai riferimento all'Appendice A: Glossario)
• Segui la struttura esistente di capitoli/sezioni (formato ch-X.Y.md)
• Mantieni esempi reali specifici con dettagli verificabili (nomi, date, impatti)

Il repository include linting automatico per la qualità del Markdown e la compatibilità con Zensical. Vedi CONTRIBUTING.md per linee guida dettagliate e CLAUDE.md per gli standard dei contenuti.

Licenza

Quest'opera è concessa in licenza con Licenza MIT. Puoi copiare, modificare, distribuire e utilizzare l'opera, anche per scopi commerciali, fornendo attribuzione.